Aikidoの設定はどこにある？ — 「ワークスペース・機能・リポジトリ」の3つで覚える

Aikidoは2026年Q3も、Changelog #51〜#53で次々と新機能を追加しています。

新機能の説明そのものは公式Changelogを読めば分かります。

ただ、実際に使ってみようとすると、意外と迷うのが、

「その設定、どこにあるの？」

という問題です。

Aikidoは機能が増えてきたぶん、設定画面も一か所にはまとまっていません。

そこで、設定画面の場所を一つずつ覚えるのではなく、

「その設定が、どこまで効くものなのか」

で考えると分かりやすくなります。

大きく分けると、Aikidoの設定は次の3つです。

1. ワークスペース単位 — ワークスペース全体に関わる設定。入口は画面右上の歯車
2. 機能単位 — AutoFixなど、その機能自体の動きを決める設定。入口は各機能ページのSettings
3. リポジトリ単位 — リポジトリごとの設定。入口は対象リポジトリを開いてSettings

新しい機能が出てきたときも、

「これは全体に効く機能なのか、それとも個別リポジトリの機能なのか」

と考えれば、だいたい設定場所の見当がつきます。

たとえばQ3の新機能では、ノイズ削減（#51）は複数のリポジトリを横断して使うためワークスペース側、Deep PR Review（#53）はリポジトリごとに設定を変えるためリポジトリ側にあります。

実際の画面を順番に見ていきます。

① ワークスペース全体の設定 — 入口は右上の歯車

画面右上の歯車アイコンを押すと、ワークスペースの設定画面が開きます。

左側には、

General / ユーザー / Teams / リポジトリ / クラウド / コンテナ / Domains / インテグレーション / SLA / Triage

といったメニューが並びます。

日本語と英語が混在していますが、ワークスペース全体に関係する設定は、基本的にここです。

Changelog #51で追加された「ノイズ削減」の設定は、この中のTriageにあります。

開くと、大きく4つの設定があります。

CVE Exploitability Analysis

依存ライブラリにCVEが見つかったとき、

「この脆弱性は、本当に自分たちのアプリケーションで悪用できるのか？」

を調べる機能です。

CVEが付いているからといって、必ずしも自分たちの環境で攻撃できるとは限りません。

脆弱な関数を使っていなかったり、外部からその処理まで到達できなかったりするケースもあります。

CVE Exploitability Analysisでは、Aikidoのエージェントが実際のコードを読み、

• 脆弱な処理を使っているか
• 攻撃者がそこまで到達できるか
• 実際に悪用可能な状態か

を確認します。

悪用できないと判断すれば、その理由を付けてignore候補にできます。

逆に、実際に到達可能であれば、対応すべきCVEとして優先度を上げられます。

料金は1 CVEの判定につき1クレジットです。

有効にすると、

「毎晩、未トリアージのCVEに対して実行する」

「High以上だけを対象にする」

「対象リポジトリを限定する」

「自動でignoreせず、提案だけにする」

といった設定ができます。

いきなり全リポジトリで自動処理するのではなく、まず対象を絞って試せるようになっています。

Prioritise Based on EPSS Score

こちらはAIを使わない、無料のノイズ削減です。

EPSSは、そのCVEが実際に悪用される可能性を統計的に評価したスコアです。

その値を使って、悪用される可能性が低いCVEをignoreしたり、優先度を下げたりできます。

AIによる詳細な判定にはクレジットが必要なので、

まずEPSSで大まかに絞り、その後AIで詳しく見る

という使い方が現実的です。

Secret Noise Reduction

Secret Noise Reductionは、シークレットスキャンの検出件数を減らすための設定です。

ここは少し前提を知っておくと分かりやすいです。

シークレットスキャンでは、Gitの履歴も含めて、

• APIキー
• パスワード
• トークン
• 認証情報

などを探します。

そのため、

「昔は使っていたが、すでに失効しているキー」

「テスト用の値」

「サンプルとして書かれたダミーの認証情報」

まで大量に見つかることがあります。

Secret Noise Reductionは、検出を増やす機能ではありません。

大量に見つかったシークレットの中から、本当に対応が必要なものを残すためのフィルタです。

主に3つあります。

• Secrets AI Triage 検出したシークレットが、今も実際に使えるかを確認します。すでに無効なものを除外し、有効なシークレットを優先して確認できるようにします。

• Keyword Filter 「EXAMPLE」「dummy」など、明らかにテスト用と判断できる文字列を含む検出を機械的に抑制します。

• Ignore Git History Gitの過去履歴まで遡らず、現在のコードだけを対象にします。検出件数は大きく減りますが、過去にコミットされ、今も有効なキーを見逃す可能性があります。

特にIgnore Git Historyは、単純にONにすればよい設定ではありません。

ノイズは減るが、過去に漏れた有効な認証情報も見えなくなる可能性がある

というトレードオフがあります。

Request Issue Actions

ここにはAllow Issue Ignore Requestsという設定があります。

通常、ignore権限を持たないユーザーは、検出結果を勝手に無視できません。

この機能を有効にすると、

「この指摘はignoreしたい」

という申請を、理由付きで管理者へ送れるようになります。

管理者はApproval Inboxで内容を確認し、承認・却下します。

誰が、いつ、どんな理由で指摘をignoreしようとしたのかが残るため、特に監査や承認プロセスが必要な組織では使いやすい仕組みです。

なぜノイズ削減はワークスペース設定なのか

ノイズ削減は、個別の一つのリポジトリだけを見るというより、

ワークスペース内にある検出結果全体を継続的に整理する仕組み

だからです。

そのため、設定場所はワークスペース側にあります。

ただし、実際に適用するリポジトリは絞れます。

つまり、

設定場所はワークスペース単位、適用範囲はリポジトリ単位で調整できる

ということです。

最初は一部のリポジトリだけを対象にして、結果を見ながら広げるのがよいでしょう。

もう一つ注意したいのが、AIを使うトリアージ機能です。

AI系のトリアージ機能は、最初から自動的に有効になっているわけではありません。

有効化するとクレジットを消費しながら定期的に処理されるため、対象リポジトリと利用上限は先に確認しておくことをお勧めします。

日次のクレジット利用上限も設定できるので、

対象範囲と予算上限をセットで決める

のが安全です。

② 機能ごとの設定 — その機能のページにあるSettingsを見る

次は、特定の機能だけに関係する設定です。

代表的なのがAutoFixです。

AutoFixのページには専用のSettingsがあります。

ここでは、

• Aikidoからリポジトリへ書き込むためのWrite Access
• プライベートレジストリへの接続
• 検出結果から自動的に修正PRを作るAutomated PRs

などを設定できます。

これらはワークスペース右上の歯車ではなく、AutoFixの機能ページ側にあります。

特にAutomated PRsは一度確認しておいた方がよい設定です。

有効にすると、条件に合った検出に対してAikidoが自動で修正PRを作るようになります。

便利な反面、設定によっては本番で利用しているリポジトリにも継続的にPRが作成されます。

そのため、

「AutoFixを使っている」ことと「自動PR作成まで有効になっている」ことは別

と考えておいた方がよいでしょう。

同じように、Device Protection（端末保護）などにも専用の設定画面があります。

そこで覚えておきたいのが、

歯車側に見つからなければ、その機能のページを見る

というルールです。

少しややこしいのは、機能ページからIntegrations関連の項目を開くと、ワークスペース設定側のIntegrationsへ移動する場合があることです。

つまり、Aikidoでは同じ設定画面に複数の入口が用意されていることがあります。

「今どこを設定しているのか分からなくなった」という場合は、画面上部のパンくずリスト、

All Teams > …

を確認すると、現在位置が分かりやすくなります。

③ リポジトリごとの設定 — リポジトリを開いてSettings

3つ目は、個別リポジトリの設定です。

Repositoriesから対象のリポジトリを選び、Settingsを開きます。

Changelog #53で追加されたDeep PR Reviewの細かな設定もここにあります。

Deep PR Reviewは何が「Deep」なのか

通常のPRチェックは、変更された差分を中心に、SASTやルールベースのチェックを行います。

Deep PR Reviewは、それとは少し違います。

PRの差分だけではなく、

リポジトリ全体のコードを文脈として読みながらレビューします。

さらにLinked Repositoriesを設定すれば、関連する別のリポジトリも含めて確認できます。

そのため、

「この変更自体は問題なさそうだが、別の場所にある実装と矛盾している」

「この処理を変えると、別サービス側の前提が崩れる」

といった、差分だけでは気づきにくい問題も指摘できます。

複数のエージェントが、セキュリティだけでなく、バグや既存実装との整合性まで確認し、結果をGitHubやGitLabのPRコメントとして返します。

イメージとしては、

PRごとに、コード全体を把握したレビュアーを追加する

と考えると分かりやすいと思います。

料金は1 PRにつき1クレジットです。

同じPRについては24時間以内であれば、追加コミット後の再レビューでも追加クレジットはかかりません。

リポジトリSettingsでは、たとえば次のような項目を調整できます。

• Strictness — どの程度細かくコメントするか。「Chill」などレビューの厳しさを調整
• Linked Repositories — 関連リポジトリもレビュー時の文脈に含める
• 除外パス
• 対象ブランチ
• データの機密度

つまり、Deep PR ReviewをONにするだけでなく、

そのリポジトリに合わせて、レビューの仕方を調整する場所

がここです。

なお、Deep PR Reviewそのものの有効・無効は、

Repositories > Pull/Merge Requests > Manage PR/MR Checks

から複数リポジトリをまとめて変更できます。

整理すると、

一括でON/OFFする場所はPR/MR Checksの管理画面

リポジトリごとの細かな調整は各リポジトリのSettings

という役割分担です。

Teamsを選んだ場合にも似た構成の設定画面があります。

対象がリポジトリかチームかという違いはありますが、

対象を選び、その対象専用のSettingsを開く

という考え方は同じです。

Q3の新機能で共通して出てくる「クレジット」

設定場所は3つに分かれていますが、最近追加されたAI機能には共通点があります。

それがクレジットです。

たとえばCode Qualityのフルリポジトリスキャンを有効にしようとすると、確定する前に必要な年間クレジット数が表示されます。

今回確認したリポジトリでは、

20クレジット / 年

と表示されました。

クレジットは1クレジット＝1ドルです。

不足した場合は、ワークスペース設定のGeneralにあるWalletから追加購入できます。

最低購入単位は100クレジットで、クレジットカードまたは請求書払いに対応しています。

また、Changelog #53からは毎月の無償クレジット付与も始まりました。

対象はProプラン以上です。

そのためPro以上を利用している場合は、最初から大量にクレジットを購入するのではなく、

まず無償クレジットの範囲でCVEトリアージやDeep PR Reviewを試してみる

という使い方ができます。

実際にどの程度ノイズが減るのか、レビューにどの程度価値があるのかを確認してから、必要に応じて追加購入する方が分かりやすいでしょう。

まとめ：設定場所を覚えるより「どこまで効く設定か」で考える

Aikidoの設定は、大きく3つに分けて考えると迷いにくくなります。

• ワークスペース全体に関わる設定 ユーザー管理、連携、トリアージ、全体の自動化など → 画面右上の歯車 → ノイズ削減は「Triage」

• 特定の機能だけに関わる設定 AutoFixのWrite Access、自動PR、Device Protectionなど → 各機能ページのSettings

• 特定のリポジトリやチームに関わる設定 Deep PR Review、除外パス、対象ブランチなど → リポジトリまたはチームを選んでSettings

Aikidoは機能追加のペースが速いため、これからも設定項目は増えていくはずです。

そのたびにメニューの場所を暗記する必要はありません。

新しい機能を見たら、まず、

「これはワークスペース全体の設定なのか、機能そのものの設定なのか、それともリポジトリごとの設定なのか」

を考えてみてください。

それだけで、探す場所はかなり絞れます。

ノイズ削減はワークスペース。 AutoFixは機能ページ。 Deep PR Reviewはリポジトリ。

まずこの3つを覚えておくだけでも、Aikidoの設定画面はかなり見通しがよくなります。